事件经过
该智能体框架在不可信渠道内容和特权智能体操作之间缺乏交互边界：远程直接消息被转换为智能体回合，后台同步将原始外部内容放入模型上下文而不进行指令中和或要求工具使用批准。演示路径通过智能体创建持久shell cron任务，实现以运行时用户身份进行未经授权的持久命令执行。批准门控还复用JSON-RPC承载令牌作为批准会话标识符，通过持久化批准记录和日志泄露该令牌。
影响分析
这是一种新型的智能体执行攻击类别：仅通过正常聊天/邮件集成中的入站消息驱动的自主智能体，可以持久化稍后执行的shell任务——绕过防御者依赖的人机协同批准模型。它还展示了MCP/服务器元数据和后台同步内容如何被静默拼接进智能体上下文，这是典型的间接提示注入通往智能体工具滥用的路径。
攻击途径
能够向已配置的外部渠道（邮件、Slack、Notion、元宝）发送消息的攻击者可使智能体在无人批准的情况下创建持久shell cron任务；调度器随后以OpenHuman运行时用户身份执行这些任务。命令验证允许前导环境赋值，可将允许的命令重定向到主机上已有的辅助可执行文件。其他相关路径使渠道消息获得默认工具策略，并使不可信MCP服务器元数据未经中和地到达模型上下文。
受影响系统
OpenHuman < 0.57.13（cron/外部渠道）；< 0.57.5（批准令牌/环境令牌）；< 0.57.13（MCP元数据上下文注入）；< 0.56.0（Socket.IO、SSE、getDisplayMedia）
缓解措施
升级到OpenHuman v0.57.13（对于旧传输问题则升级到v0.56.0）。检查持久化批准记录/日志中泄露的承载令牌，并在macOS上轮换每次启动的OPENHUMAN_CORE_TOKEN。